Netzwerk-Hygiene: IoT per VLAN isolieren

Das Problem mit IoT im Heimnetz

Smarte Glühbirnen, Thermostate, Steckdosen, Kameras – all das landet standardmäßig im selben Netzwerksegment wie dein Laptop, dein NAS mit persönlichen Fotos und dein Smartphone. Das klingt bequem, ist aber ein Sicherheitsrisiko.

IoT-Geräte haben oft veraltete Firmware, schwache oder hartcodierte Passwörter und wenig oder gar keinen Sicherheitssupport nach dem Launch. Wenn ein Angreifer eines dieser Geräte kompromittiert – etwa durch eine bekannte Schwachstelle –, kann er sich von dort aus frei im gesamten Heimnetz bewegen. Das nennt sich laterale Bewegung, und VLANs sind das Mittel, sie zu verhindern.

Die Lösung: VLANs statt Vertrauen

Was ist ein VLAN?

Ein VLAN (Virtual Local Area Network) ist ein logisch getrenntes Netzwerksegment auf derselben physischen Infrastruktur. Geräte in verschiedenen VLANs können standardmäßig nicht miteinander kommunizieren, auch wenn sie am selben Switch hängen. Ein Router oder eine Firewall entscheidet, welcher Traffic zwischen VLANs erlaubt ist – und du konfigurierst diese Regeln genau so, wie du es brauchst.

Warum nicht einfach das Gäste-WLAN nutzen?

Gäste-WLANs sind einfacher einzurichten, aber sie bieten eine gröbere Isolation. Viele Consumer-Router haben kein vernünftiges Firewall-Regel-System für das Gäste-WLAN. Außerdem läuft alles über WLAN – Geräte, die per Ethernet angebunden sind, landen trotzdem im Hauptnetz. VLANs lösen das sauber, inklusive kabelgebundener Geräte.

Pro-Tipp

Selbst wenn du heute nur zwei VLANs einrichtest (Haupt und IoT), lohnt sich die saubere Trennung. Du kannst später immer weitere Segmente (Kameras, Gäste, Management) hinzufügen, ohne alles neu zu konfigurieren.

VLAN-Setup in der Praxis

Ein sinnvolles VLAN-Design für ein Heimnetz mit Smart Home:

Schritt-für-Schritt: UniFi als Beispiel

1. VLAN anlegen – Settings → Networks → Add Network → VLAN-only, VLAN-ID 20, Subnet 192.168.20.0/24
2. DHCP aktivieren – Server-Modus im selben Dialog, Adressbereich 192.168.20.10–192.168.20.254
3. WLAN-Netz erstellen – Settings → WiFi → Add WiFi, VLAN 20 zuweisen (für WLAN-IoT-Geräte)
4. Switch-Ports zuweisen – Ports mit kabelgebundenen IoT-Geräten: Port Profile auf VLAN 20 setzen
5. Firewall-Regeln definieren – Traffic → Firewall → neue Regel: Source VLAN 20 → Destination VLAN 10: Drop

Die Konfiguration in MikroTik (RouterOS) und OPNsense/pfSense folgt derselben Logik: VLAN-ID definieren, IP-Subnetz zuweisen, DHCP-Server konfigurieren, Switch-Ports oder Bridge-VLANs zuweisen, Firewall-Regeln setzen.

Firewall-Regeln: Was darf, was nicht

Die VLAN-Trennung allein reicht nicht – du brauchst auch Firewall-Regeln, die den Traffic zwischen den VLANs kontrollieren. Standard-Regeln für ein sicheres IoT-VLAN:

• IoT → Internet: Erlaubt (Geräte müssen Cloud-Dienste erreichen können)
• IoT → DNS: Erlaubt (Namensauflösung)
• IoT → Home Assistant: Erlaubt, nur Port 8123 (Geräte-Steuerung)
• IoT → Heimnetz: Blockiert (kein Zugriff auf NAS, Laptops etc.)
• Heimnetz → IoT: Erlaubt (du willst deine Geräte steuern können)
• Kameras → Internet: Blockiert (Kameras dürfen keine Daten nach außen senden)

Wusstest du schon?

Wenn Geräte keinen Internet-Zugriff benötigen (z.B. Zigbee-Sensoren, die nur über Home Assistant sprechen), deaktiviere den Internet-Zugriff für diese Geräte in der Firewall. Das verhindert Telemetrie und schränkt den Schaden bei einer Kompromittierung weiter ein.

DSGVO-Hinweis: VLAN schützt nur das lokale Netz

VLAN-Trennung verhindert laterale Bewegung im Heimnetz – aber nicht den Datenabfluss in die Hersteller-Cloud. Viele IoT-Geräte senden Telemetrie an Server in China oder den USA, auch wenn sie sauber im IoT-VLAN isoliert sind. Für echte DSGVO-Konformität brauchst du zusätzlich einen DNS-Filter (z.B. Pi-hole) und gezielte Firewall-Regeln: IoT → Internet nur über erlaubte Domains. HomeMatic/BidCos-Funk kommuniziert auf 868 MHz und ist vom VLAN nicht betroffen – die CCU3 sollte dennoch im Heimnetz-VLAN (nicht im IoT-VLAN) betrieben werden.

Hardware-Empfehlungen

Nicht jeder Consumer-Router unterstützt VLANs. Hier sind Optionen, die es können:

Die Gäste-WLAN-Alternative

Wer keine VLAN-fähige Hardware hat, kann als Mindestsicherheit IoT-Geräte ins Gäste-WLAN stecken. Es ist keine perfekte Lösung, aber besser als gar keine Trennung. Das Gäste-WLAN isoliert zumindest den drahtlosen Traffic, verhindert aber keine laterale Kommunikation bei kabelgebundenen Geräten.

Schritt für Schritt zum sicheren IoT-Netz

Starte mit dem, was du hast. Wenn dein Router Gäste-WLAN unterstützt, starte damit. Wenn du bereit bist zu investieren, hole dir einen VLAN-fähigen Router. Konfiguriere dann schrittweise: Zuerst ein IoT-VLAN, dann Firewall-Regeln, dann optional Kameras in ein eigenes Segment.

Die wichtigste Firewall-Regel ist: IoT → Heimnetz: blockiert. Alles andere ist Verfeinerung.

Pro-Tipp

Nach dem Einrichten der VLANs: Teste jeden Pfad, den du konfiguriert hast. Ping vom IoT-Gerät zum NAS (sollte fehlschlagen), ping vom Laptop zu einem IoT-Gerät (sollte funktionieren), ping vom IoT-Gerät zu Home Assistant Port 8123 (sollte funktionieren). Nur was du getestet hast, weißt du, dass es funktioniert.

Fazit: Trennung ist Vorsorge, nicht Aufwand

VLAN-Trennung ist der wirksamste Schutz gegen laterale Angriffe aus dem IoT-Bereich. Drei VLANs, sechs Firewall-Regeln und ein VLAN-fähiger Router reichen für die meisten Heimnetze aus. Wer zusätzlich DNS-Filter und Cloud-Ausschlüsse konfiguriert, schützt sich auch vor Telemetrie-Abfluss – und ist damit näher an echter DSGVO-Konformität als die meisten Haushalte.